Tailscale: приватная сеть между всеми вашими устройствами

Задача

У вас есть ноутбук, домашний сервер за роутером провайдера, VPS и телефон. Хочется, чтобы все они видели друг друга по сети, как будто стоят в одной комнате, и чтобы никто посторонний этого не видел. Классический ответ: поднять VPN-сервер на VPS и подключить к нему всё остальное. Трафик между ноутбуком и домашним сервером при этом пойдёт через VPS, даже если они в одной квартире.

Как это решает Tailscale

Tailscale строит сеть на WireGuard, но без центрального узла. Каждое устройство получает постоянный адрес из диапазона 100.x.y.z и соединяется с другими напрямую. Координационный сервер Tailscale хранит только публичные ключи и список узлов, трафик через него не проходит.

Самое ценное: прохождение NAT. Два устройства за разными домашними роутерами устанавливают прямое соединение в большинстве случаев, а если не выходит, трафик идёт через ретранслятор DERP в зашифрованном виде. Пользователь этой разницы не замечает.

Установка сводится к одной команде на каждом устройстве и входу через существующую учётную запись Google, GitHub, Microsoft или любой провайдер с OIDC:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

Что ещё умеет

• MagicDNS. Устройства доступны по именам: ssh homelab вместо запоминания адреса.
• Tailscale SSH. Авторизация по ключам заменяется на политику доступа в сети, ключи на серверах не нужны.
• Exit node. Любое устройство можно сделать выходом в интернет, и телефон в кафе будет ходить через домашний сервер.
• Subnet router. Одна машина открывает доступ к целой локальной сети, где агент нельзя поставить: принтер, умный дом, старый NAS.
• Funnel. Публикация локального сервиса в открытый интернет по HTTPS с автоматическим сертификатом, для демо и вебхуков.
• Taildrop. Передача файлов между своими устройствами без облака.

Правила доступа описываются в файле политики: кто с кем может общаться и по каким портам. Для личного использования можно не трогать, для команды это заменяет файрвол.

Открытый вопрос

Координационный сервер принадлежит компании. Клиенты открыты, протокол задокументирован, и есть Headscale, независимая реализация сервера, которую можно поднять у себя. Но большинство пользователей доверяют Tailscale, и это стоит понимать: падение их инфраструктуры не прервёт существующие соединения, но помешает новым устройствам войти в сеть.

Бесплатный тариф покрывает до ста устройств и трёх пользователей, чего хватает для дома и маленькой команды.

Итог

Tailscale убирает из жизни проброс портов, динамический DNS и ручную раздачу ключей WireGuard. После него возвращаться к ручной настройке туннелей не хочется, и это самый честный признак хорошего инструмента.